content-security-policy 相关问题

内容安全策略（CSP）旨在通过为开发人员提供对允许加载页面的资源以及允许执行的脚本的细粒度控制来降低跨站点脚本攻击的风险。

机器人检测在 AXS.com 上如何工作？

我需要了解机器人检测在 axs.com 上的具体工作原理，因为我多次访问该网站，但不久之后登录就不再起作用，网站基本上是

authentication security bots content-security-policy

回答 2 投票 0

连接到我的 api 时出现电子内容安全策略错误

创建一个简单的模板电子应用程序。我想对我的 api 执行获取请求，但不断被内容安全策略错误阻止，而且我不知道如何修复它们。拒绝骗...

html node.js webpack electron content-security-policy

回答 6 投票 0

jsf、primefaces 应用程序的内容安全策略标头

由于 JSF 和 Primefaces 组件会产生内联脚本，因此很难以最佳配置配置 CSP 标头。由于 JSF 在设计上提供了 XSS 保护，所以可以不使用吗...

jsf primefaces content-security-policy

回答 2 投票 0

环境：野蝇22 JSF 2.3 爪哇11 带 CSP 的 Primefaces 10 在 web.xml 上激活的内容安全策略会引发 javax.faces.FacesException：缺少 CSP 随机数登录网页加载良好，但是当我

jsf primefaces content-security-policy

回答 3 投票 0

允许所有内容安全策略？

是否可以将内容安全策略配置为根本不阻止任何内容？我正在上计算机安全课程，我们的网络黑客项目在较新版本的...

javascript http-headers xss content-security-policy

回答 5 投票 0

在 CSP connect-src 中允许“https”的安全影响

在我的 CSP 中允许“connect-src”使用“https”有什么安全隐患？我知道攻击者在技术上能够将信息发送到任何 URL（尽管不确定如何），但是......

content-security-policy

回答 1 投票 0

如何动态替换 Azure 上托管的 Angular 中的 ngCspNonce 值

我有一个托管在 Azure 中的 Angular 14 应用程序。我正在应用程序中实施内容安全策略。我不想使用“unsafe-inline”来加载第三方内联样式。我遵循了这个...

angular azure content-security-policy

回答 1 投票 0

Content-Security-Policy：页面的设置阻止加载 xyz.com 上的资源（“default-src”）问题

我遇到以下问题： Content-Security-Policy：页面的设置阻止加载 blob 上的资源：https://test.com/ff851-924-4522-8b74-f1d4f8c9f（“default-src”）。每当我...

javascript html content-security-policy

回答 1 投票 0

Chromium 错误地包含 Sec-Fetch-Site：样式表请求中的跨站点

问题：当 Web 服务器响应标头时内容-安全-策略：沙箱；默认 src '无'； img-src '自我';样式-src'自我'；这似乎会导致 Chromium 添加标头秒取-

chromium content-security-policy html-reports-jenkins

回答 1 投票 0

将 Twitter 时间轴嵌入 github 页面上的 al-folio 网站

我正在使用 al-folio 模板构建一个个人网站，我将在 github 页面上托管该网站。我想嵌入我的 Twitter 时间线。如果我访问 https://publish.twitter.com/，并输入 https://

javascript ruby content-security-policy

回答 1 投票 0

有没有办法一次性生成所有内容安全策略内联哈希值？（Wordpress）

我正在根据集成本地银行支付网关的要求为 WordPress 网站制定内容安全策略。遗憾的是，很多内联脚本都是 WordPress 的一部分，它是插件......

javascript wordpress .htaccess sha256 content-security-policy

回答 2 投票 0

内容安全策略 (CSP) - onetrust 集成期间动态内联样式的问题

我正在集成一个cookie工具-onetrust。我通过在 html 页面中添加脚本来添加它们。这些脚本调用其他脚本并创建内联样式。我设法通过添加“

javascript cookies content-security-policy inline-styles one-trust

回答 1 投票 0

内容安全策略阻止 Angular 样式

我想发布一个具有严格内容安全策略的 Web 应用程序。最后剩下的问题是：style-src 'self'; 我在浏览器控制台中收到错误消息，指出资源被阻止...

angular content-security-policy unsafe-inline

回答 3 投票 0

模型绑定CSP报告json

我正在尝试创建一个我的网站可以发布 CSP 违规的 URL，但我发现如果没有我自己的自定义模型绑定器，模型绑定非常困难。 CSP json 是什么样子的： { “csp-报告...

c# asp.net model content-security-policy model-binding

回答 1 投票 0

Chrome 扩展和 CSP

我有一个流行的 Chrome 扩展程序，但在使用 CSP 的网站上失败。该扩展程序根据用户配置的一些设置丰富了用户访问的网站上的内容。在具有 CSP pol 的站点上...

javascript google-chrome-extension content-security-policy

回答 2 投票 0

如何使用 CSP 仅阻止通过 HTML 元标记进行重定向

场景假设有以下 HTML 标记，这是成功 XSS 注入尝试的结果：场景假设有以下 HTML 标记，这是成功 XSS 注入尝试的结果：  <meta http-equiv="refresh" content="3; URL=https://evil.anyhost.it/">  <html> <head> <title>...</title> <script src="/assets/app.js" type="module"></script> </head> <body>...</body> </html> 使用以下内容安全策略将阻止 <meta http-equiv="refresh"> 重定向，但也会拒绝加载任何有效脚本，例如 /assets/app.js。 Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'none'; sandbox; 当使用CSP声明sandbox allow-scripts allow-same-origin时，可以加载并执行/assets/app.js处的脚本，但也允许再次重定向。问题哪个内容安全策略会阻止 HTTP 重定向（由注入的 <meta http-equiv="refresh"> 负载启动），但仍允许有效的同源脚本？谢谢！为了实现阻止由注入的 <meta http-equiv="refresh"> 负载发起的 HTTP 重定向的目标，同时仍然允许有效的同源脚本，您可以利用 script-src 标头中的 Content-Security-Policy 指令以及 'unsafe-inline' 值来授权来自同一来源的内联脚本。不过，请记住，允许 'unsafe-inline' 确实会带来安全隐患，因此在使用此方法时请务必小心。这是您可以使用的 Content-Security-Policy 标头： Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'none'; script-src 'self' 'unsafe-inline'; sandbox; 说明： default-src 'self';：指定只能从同源加载资源。 object-src 'none';：避免加载任何插件或嵌入式资源。 base-uri 'none';：禁止使用 <base> 标签建立不同的基本 URL。 script-src 'self' 'unsafe-inline';：授予脚本从同一源执行的权限，包括内联脚本（通过'unsafe-inline'）。这对于执行合法脚本/assets/app.js至关重要。 sandbox;：为内容强制实施沙箱环境。通过使用 'unsafe-inline' 授予内联脚本权限，您实际上允许任何内联脚本在页面上执行。这引入了潜在的安全漏洞，因为注入页面的任何恶意脚本也可能运行。彻底检查和验证作为内联脚本执行的内容至关重要。请记住，安全涉及权衡，并且应在清楚地意识到所涉及的风险的情况下允许'unsafe-inline'。如果可行，请考虑使用随机数或哈希来允许特定的内联脚本，同时最大限度地降低代码注入的风险。假设数据库中的数据符合所提供的条件，您在TropicalRepository中编写的查询方法应该可以正确运行。尽管如此，您的查询方法参数名称中存在一个较小的拼写错误。您使用了 retro 而不是 isRetro。 Java 命名约定通常使用布尔字段的“is”前缀，因此您的方法应为： Tropical findByHouseIsAndSignAndIsRetroAndLang (Integer house, String sign, Boolean isRetro, String lang); 如果您的查询仍未产生预期结果，您可以检查以下几个方面：数据匹配：验证数据库中的数据是否与您尝试检索的条件精确对应。确认house、sign、isRetro、lang的值是否与查询方法中传入的值完全相同数据库配置：验证您的数据库是否已正确配置并链接到您的 Spring Boot 应用程序。 Logging：激活 Spring Data JPA 查询日志记录以观察正在生成和执行的实际 SQL 查询。您可以将以下属性附加到您的 application.properties 或 application.yml 文件中： logging.level.org.springframework.data.jpa=DEBUG 这将在应用程序日志中显示 SQL 查询，帮助识别任何问题。命名约定：重新确认Tropical实体类中的字段名称。字段名称的大小写应与查询方法中使用的大小写匹配。 Java 区分大小写。数据类型：验证查询方法中参数的数据类型与实体类中对应字段的数据类型是否一致。 NULL 值：如果任何字段（house、sign、isRetro、lang）可以采用 null 值，您可能需要在查询方法中处理此问题。例如，如果 isRetro 是 null，则查询将不会匹配任何记录。

http-headers xss content-security-policy meta-tags websecurity

回答 1 投票 0

内容安全策略在 Magneto 2 中不起作用

我使用 https://r0.cloud.yellow.ai 在 Magneto 2 中添加了聊天脚本我收到以下错误。拒绝连接到“wss://r0.cloud.yellow.ai/websocket/”，因为它违反了以下内容...

php magento2 content-security-policy

回答 1 投票 0

如何正确设置helmet.js来解决CSP问题？

当我启动 Express 应用程序时，浏览器出现以下错误：拒绝加载脚本“http://localhost:1337/main.js”，因为它违反了以下内容安全策略指令：“sc...

javascript express content-security-policy helmet.js

回答 3 投票 0

每个页面使用 CSP 规则

按照 https://nightlies.apache.org/wicket/guide/9.x/single.html#_content_security_policy_csp 中的描述，所有 CSP 规则均通过应用程序设置进行管理（类 ContentSecurityPolicySe...

wicket content-security-policy

回答 2 投票 0

即使使用 Electron 设置了“img-src”，控制台也会显示“请注意，未显式设置“img-src””CSP 错误

在 Electron 渲染器中，我尝试通过自定义协议加载图像，但在渲染器控制台中出现以下错误： main_window:13 拒绝加载图像“dir://pumpjack.png”

image electron content-security-policy

回答 1 投票 0

content-security-policy 相关问题

最新问题